宝塔面板无法强制隐藏敏感文件，必须通过Nginx/Apache配置屏蔽路径、关闭PHP错误显示并验证规则生效：Nginx加location正则deny，Apache用FilesMatch禁止访问，PHP设display_errors=Off，最后curl测试返回403且错误页不泄密。
宝塔面板本身不提供“强制隐藏敏感文件”的内置功能，所有文件可见性控制必须依赖系统级权限、Web服务器配置或应用层防护，直接靠面板点几下是做不到的。
为什么不能只靠宝塔界面关掉“显示”就安全
很多人误以为在「网站设置 → 防盗链」或「文件管理 → 权限设置」里把 .env 或 config.php 文件设为 600 就万事大吉。其实不然：
- Web 服务器（Nginx/Apache）默认仍会尝试响应这些路径请求，若没明确禁止，可能返回 200 + 原始内容（尤其当后缀未被解析时）
- 宝塔「文件管理」里的权限修改仅影响 FTP/SFTP 和面板内操作，不影响 Web 进程（如 nginx worker）读取行为
- PHP 应用若开启
display_errors = On，错误堆栈可能直接输出数据库连接字符串
Nginx 配置中屏蔽常见敏感文件路径
进入宝塔【网站】→【设置】→【配置文件】，在 server 块内 location / 上方插入以下规则：
location ~* \.(env|ini|log|sh|sql|bak|swp|git|htaccess|htpasswd|conf|yml|yaml|xml|json)$ {
deny all;
}说明：
- 该正则覆盖绝大多数敏感后缀，
.env、config.ini、database.sql、.git/config等均会被 403 拦截 -
~*表示大小写不敏感，避免.ENV漏网 - 不要写成
location ^~，否则无法匹配正则，规则失效 - 改完必须点击「重载配置」，仅重启 Nginx 不生效
Apache 下等效防护与易错点
若使用 Apache，在站点配置的 <VirtualHost> 块内添加：
<FilesMatch "\.(env|ini|log|sh|sql|bak|swp|git|htaccess|htpasswd|conf|yml|yaml|xml|json)$">
Require all denied
</FilesMatch>注意：
- Apache 2.4+ 必须用
Require all denied，Order deny,allow已废弃且无效 - 该配置需放在
<Directory>块内或主<VirtualHost>中，不能丢在.htaccess里——因为.htaccess本身也是要被保护的目标文件 - 改完要点「重载 Apache」，不是「重启」；重启会中断当前连接
PHP 层面防止错误泄露数据库信息
即使 Web 服务器屏蔽了文件访问，PHP 自身错误也可能暴露敏感内容。务必检查并修改：
- 进入【软件管理】→ 找到 PHP 版本 → 【设置】→【配置修改】，确认
php.ini中：display_errors = Offlog_errors = Onerror_log = /www/wwwlogs/php_error.log - 检查站点根目录是否存在
.user.ini，它可能覆盖全局设置，删掉或同步修改其中的display_errors - WordPress 等 CMS 常自带调试开关，确保
WP_DEBUG在生产环境为false
最后验证：用 curl -I https://yoursite.com/.env 应返回 403；访问 https://yoursite.com/xxx.php（故意触发语法错误）不应看到数据库密码出现在 HTML 中。
真正的难点不在加几行配置，而在于确认没有其他路径绕过——比如某些框架自动生成的 /public/storage/.env 符号链接，或备份脚本生成的 /backup/db_20260403.sql 被漏进规则。每次上线新服务前，都得重新扫一遍实际存在的敏感路径。
